Contrato de encargo del tratamiento

1. Partes

De una parte, el negocio que contrata Cardfiel, cuyos datos identificativos constan en su cuenta de cliente, en adelante el «Responsable».

De otra parte, Bruno Piazza Saggina, con NIF 54994248Y y domicilio en Avenida de Antonio López 6, 28320 Pinto (Madrid), que presta el servicio Cardfiel, en adelante el «Encargado».

Ambas partes reconocen que el Responsable determina los fines y medios del tratamiento de los datos de sus propios clientes, y que el Encargado los trata exclusivamente por cuenta de aquel.

2. Objeto, naturaleza y finalidad del tratamiento

El objeto es el tratamiento de datos personales necesario para prestar el servicio de gestión de programas de fidelización digitales: alta de clientes, emisión de tarjetas con código QR, registro de visitas o puntos, generación y canje de recompensas, envío de los correos transaccionales asociados y, si el cliente lo solicita, emisión y actualización del pase en Apple Wallet o Google Wallet.

El Encargado no utiliza estos datos para finalidades propias, no los vende, no elabora perfiles con ellos, no los cruza con los de otros negocios ni los emplea para entrenar sistemas automatizados.

3. Duración

Este contrato entra en vigor con la contratación del servicio y permanece vigente mientras dure la suscripción, prolongándose hasta la devolución o supresión de los datos conforme a la cláusula 10.

4. Datos e interesados afectados

Categorías de interesados: clientes finales del Responsable que se dan de alta en su programa de fidelización y, en su caso, personas de su equipo a las que autorice a usar el escáner.

Categorías de datos:

• Datos identificativos y de contacto: nombre y dirección de correo electrónico.
• Fecha de nacimiento, cuando el interesado decide facilitarla (dato opcional).
• Datos de actividad en el programa: visitas o puntos acumulados, recompensas generadas y canjeadas, y fechas de dichas operaciones.
• Indicación de si el interesado ha consentido recibir comunicaciones comerciales.
• Identificadores técnicos de la tarjeta y de los dispositivos donde se guarde el pase.

No se tratan categorías especiales de datos del artículo 9 del RGPD. El Responsable se compromete a no introducir en el servicio datos de salud, biométricos, ideológicos ni de ninguna otra categoría especial.

5. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las que resulten del uso normal de las funcionalidades del servicio. Si el Encargado considerase que una instrucción infringe la normativa, informará de inmediato al Responsable.
2. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido incluso tras finalizar la relación.
3. Aplicar las medidas técnicas y organizativas del artículo 32 del RGPD descritas en la cláusula 8.
4. Respetar el régimen de subencargados de la cláusula 6.
5. Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado dirige su solicitud directamente al Encargado, este se la trasladará sin dilación indebida al Responsable.
6. Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones de seguridad y, en su caso, evaluación de impacto y consulta previa (arts. 32 a 36 del RGPD).
7. Devolver o suprimir los datos al finalizar la prestación, conforme a la cláusula 10.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir auditorías conforme a la cláusula 11.
9. Llevar un registro de las actividades de tratamiento realizadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD.

6. Obligaciones del Responsable

El Responsable (el negocio) se obliga a:

1. Informar a sus clientes del tratamiento de sus datos y de que utiliza Cardfiel como proveedor, y disponer de una base jurídica válida para el tratamiento.
2. Recabar y gestionar correctamente el consentimiento para comunicaciones comerciales, cuando pretenda enviarlas, y respetar su revocación.
3. Atender las solicitudes de ejercicio de derechos de sus clientes, con la asistencia del Encargado.
4. Utilizar el servicio conforme a la normativa de protección de datos y no introducir datos excesivos, innecesarios ni de categorías especiales.
5. Gestionar de forma diligente los accesos que concede a su personal, revocándolos cuando dejen de ser necesarios.

7. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a los subencargados relacionados a continuación, necesarios para la prestación del servicio. Con todos ellos el Encargado ha suscrito contratos que imponen obligaciones de protección de datos equivalentes a las de este contrato.

El Encargado informará al Responsable, con una antelación mínima de 30 días, de cualquier incorporación o sustitución de subencargados, pudiendo el Responsable oponerse por motivos razonables relacionados con la protección de datos. En caso de oposición fundada que impida prestar el servicio, cualquiera de las partes podrá resolver el contrato sin penalización.

8. Medidas de seguridad

Atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como a los riesgos para los derechos y libertades de los interesados, el Encargado aplica, entre otras, las siguientes medidas:

• Cifrado en tránsito de todas las comunicaciones mediante TLS, con política de seguridad de transporte estricta (HSTS).
• Cifrado en reposo de la base de datos y de las copias de seguridad.
• Control de acceso: autenticación obligatoria para acceder al panel y al escáner, con separación de perfiles entre titular del negocio y personal autorizado, de modo que el personal solo accede al escáner y nunca a la administración ni a la facturación.
• Separación lógica de los datos de cada negocio, verificándose en cada operación que los datos consultados pertenecen al negocio que realiza la petición.
• Contraseñas almacenadas mediante funciones de derivación de clave seguras, nunca en texto claro, y accesos del personal mediante enlaces de un solo uso.
• Verificación de la dirección de correo de los clientes finales antes de permitir operaciones sobre su tarjeta, para evitar altas y usos fraudulentos.
• Copias de seguridad periódicas con capacidad de restauración, para garantizar la disponibilidad y el acceso a los datos ante un incidente.
• Registro de la actividad relevante del sistema y revisión de incidencias.
• Minimización: solo se solicitan los datos necesarios, siendo la fecha de nacimiento el único dato opcional.
• Actualización periódica de las dependencias del software y aplicación de cabeceras de seguridad en el navegador.

9. Violaciones de la seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por su cuenta, facilitando la información disponible sobre su naturaleza, las categorías y el número aproximado de interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas.

Corresponde al Responsable, en su caso, notificar la violación a la Agencia Española de Protección de Datos en el plazo de 72 horas y comunicarla a los interesados cuando proceda.

10. Devolución o supresión de los datos

Finalizada la prestación del servicio, el Encargado, a elección del Responsable, devolverá los datos o los suprimirá. Para hacerlo posible, los datos se conservan durante 30 días tras la finalización, plazo durante el cual el Responsable puede solicitar una copia en formato estructurado y de uso común. Transcurrido ese plazo sin instrucciones, se procederá a su supresión.

El Encargado podrá conservar los datos estrictamente necesarios, debidamente bloqueados, cuando así lo exija el Derecho de la Unión o de los Estados miembros.

11. Auditoría

El Responsable podrá solicitar, con un preaviso razonable y como máximo una vez al año, la información necesaria para verificar el cumplimiento de este contrato. Las auditorías se realizarán en horario laboral, sin interferir en la actividad del Encargado y respetando la confidencialidad de la información relativa a otros clientes.

12. Responsabilidad

Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que este contrato y el RGPD le imponen. La responsabilidad del Encargado se rige, además, por los límites establecidos en la cláusula 16 de los Términos y Condiciones, salvo en aquello que la normativa de protección de datos no permita limitar.

13. Ley aplicable

Este contrato se rige por el RGPD, por la LOPDGDD y, en lo no previsto, por la legislación española, con sometimiento al mismo fuero establecido en los Términos y Condiciones.

14. Obtención de una copia

Puedes solicitar una copia firmada de este contrato, con los datos identificativos de tu negocio cumplimentados, escribiendo a soporte@cardfiel.com.